Главная / Консультации / Банковский аудит / Департамент банковского аудита по вопросам, связанным с применением Закона «О персональных данных».
Департамент банковского аудита по вопросам, связанным с применением Закона «О персональных данных».
Ответы на самые интересные вопросы на нашем телеграм-канале knk_banki
27.11.2009
Вопрос
О каких банковских операциях необходимо уведомлять Роскомнадзор во исполнение Банком требований статьи 22 Федерального закона № 152-ФЗ «О персональных данных»?
О каких банковских операциях необходимо уведомлять Роскомнадзор во исполнение Банком требований статьи 22 Федерального закона № 152-ФЗ «О персональных данных»?
Ответ
Мнение консультантов.
По нашему мнению, во исполнение статьи 22 Закона 152-ФЗ Банк обязан уведомлять уполномоченный орган о намерении обрабатывать персональные данные (кроме общедоступных персональных данных, включающих только фамилии, имена и отчества субъектов персональных данных, данных, включенных в федеральные автоматизированные информационные системы, в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка) в случаях, когда Банк в целях, не связанных с исполнением договора, стороной которого является субъект персональных данных, передает полученные персональные данные третьему лицу (лицам) с согласия субъекта.
Обоснование мнения консультантов.
Для обеспечения реализации обязательств по приведению в соответствие с нормами европейского законодательства деятельности в области защиты прав субъектов персональных данных, принятых Российской Федерацией, путем подписания в 2001 году Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, 27.07.2007г. был принят Закон № 152-ФЗ, целью которого является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Закон № 152-ФЗ определил уполномоченный орган по защите прав субъектов персональных данных[1], установил права субъектов персональных данных, обязанности и ответственность операторов, осуществляющих обработку персональных данных.
В статье 3 Закона № 152-ФЗ приведены основные понятия, используемые в Законе, в том числе:
«персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация» (пункт 1);
«оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных» (пункт 2);
«обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных» (пункт 3);
«распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом» (пункт 4);
«использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц» (пункт 5);
«информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств» (пункт 9).
Таким образом, исходя из приведенных выше понятий, Банк в силу осуществляемой деятельности является оператором, осуществляющим обработку персональных данных.
Следовательно, на Банк распространяются требования, установленные Законом № 152-ФЗ, в том числе требования пункта 1 статьи 22: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных», за исключением случаев, поименованных в пункте 2:
- «персональные данные относятся к субъектам персональных данных, которых связывают с оператором трудовые отношения»[2] (подпункт 1);
- «персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если
- персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных,
- используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных» (подпункт 2);
- «персональные данные относятся к членам (участникам) общественного объединения или религиозной организации и обрабатываются соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных» (подпункт 3);
- «персональные данные являются общедоступными[3]» (подпункт 4);
- «персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных» (подпункт 5);
- «персональные данные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях» (подпункт 6);
- «персональные данные включены в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка» (подпункт 7);
- «персональные данные обрабатываются без использования средств автоматизации[4] в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных» (подпункт 8).
При осуществлении уставной деятельности Банк производит сбор и обработку персональных данных, в частности:
- в связи с исполнением договоров гражданско-правового характера с клиентами Банка или с целью заключения таких договоров;
- в связи с исполнением федеральных законов, нормативных актов Банка России;
- в коммерческих целях (рекламные, маркетинговые и т.п.).
Исходя из изложенных норм Закона № 152-ФЗ, по нашему мнению, Банк не обязан уведомлять уполномоченный орган о намерении производить обработку персональных данных в случае, если персональные данные получены в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются исключительно для исполнения указанного договора и заключения договоров с клиентом (подпункт 2 пункта 2 статьи 22 Закона 152-ФЗ).
Рассмотрим отдельно подпункт 8 пункта 2 статьи 22 Закона 152-ФЗ. Исходя из толкования понятия «неавтоматизированной обработки персональных данных», установленного в пункте 1 Положения № 687, можно сделать вывод, что Банк в своей деятельности осуществляет именно такую обработку.
В соответствии с требованиями подпункта 8 статьи 22 Закона 152-ФЗ такая обработка должна производиться в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных, то есть в соответствии с требованиями ГК РФ (в том числе статьи 857 ГК РФ), рассматриваемого Закона, Положения № 687, Положения № 781, Закона 115-ФЗ, инструкциями уполномоченных органов и проч.
Таким образом, в соответствии с подпунктом 8 пункта 2 статьи 22 Закона 152-ФЗ в случае, если Банк осуществляет неавтоматизированную обработку данных в целях исполнения требований законодательства или в коммерческих целях с соблюдением требований конфиденциальности в смысле выполнения норм соответствующих законов и нормативных актов, то он вправе не уведомлять уполномоченный орган в отношении своих намерений по их обработке.
Однако, в случае, если Банк в целях, не связанных с исполнением договора, стороной которого является субъект персональных данных, передает полученные персональные данные третьему лицу (лицам) с согласия субъекта (например, передача материалов по ссудной задолженности в коллекторское агенство), то данный вид обработки персональных данных не соответствует критериям пункта 2 статьи 22 Закона 152-ФЗ и у Банка возникает обязанность уведомления надзорного органа о своих намерениях. Исключением в данном случае является передача общедоступных данных, данных, включающих в себя только фамилии, имена и отчества субъектов персональных данных, и данных, включенных в федеральные автоматизированные информационные системы, в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка.
Таким образом, по нашему мнению, основная часть проводимых Банком операций подпадает под критерии и случаи, поименованные в пункте 2 статьи 22 Закона 152-ФЗ, и потому у Банка не возникает обязанности уведомления надзорного органа о намерении обработки персональных данных при проведении операций.
Исключением являются случаи, когда Банк в целях, не связанных с исполнением договора, стороной которого является субъект персональных данных, передает полученные персональные данные третьему лицу (лицам) с согласия субъекта. В этом случае Банк обязан уведомить о своих намерениях надзорный орган.
В связи с отсутствием официальных разъяснений по рассматриваемому вопросу и возможностью различного толкования отдельных положений Закона 152-ФЗ рекомендуем Банку обратиться с запросом в уполномоченный орган на основании пункта 6.4 Положения № 228.
Документы и литература.
1. ГК РФ – Гражданский кодекс Российской Федерации (ч.I) от 30.11.1994г. № 51-ФЗ, (ч.II) от 26.01.1996г. № 14-ФЗ, (ч. III) от 26.11.2001г. № 146-ФЗ, (ч. IV) от 18.12.2006г. № 230-ФЗ;
2. ТК РФ – Трудовой кодекс Российской Федерации от 30.12.2001г. № 197-ФЗ;
3. Закон № 152-ФЗ – Федеральный закон Российской Федерации от 27.07.2006г. № 152-ФЗ «О персональных данных»;
4. Положение № 228 – Положение Правительства РФ от 16.03.2009г. № 228 «О федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций»;
5. Положение № 687 - Положение Правительства РФ от 15.09.2008г. № 687 «Об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
6. Положение № 781 - Положение Правительства РФ от 17.11.2007г. № 687 «Об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
[1] Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям Закона № 152-ФЗ, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи (пункт 1 статьи 23 Закона № 152-ФЗ).
В настоящее время Постановлением Правительства РФ № 228 функции Уполномоченного органа возложены на Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Федеральная служба находится в ведении Министерства связи и массовых коммуникаций Российской Федерации (Минкомсвязи), которое осуществляет контроль и координацию деятельности Уполномоченного органа.
[2] При этом следует иметь в виду, что основанием возникновения трудовых отношений между работником и работодателем является заключение трудового договора в соответствии с требованиями ТК РФ (статья 16 ТК РФ). Следовательно, подпункт 1 пункта 2 статьи 22 Закона 152-ФЗ не применим к отношениям, возникающим при заключении с физическими лицами договоров гражданско-правового характера на оказание услуг Банку (например, договор подряда, договор возмездного оказания услуг и т.п.). В этом случае следует применять подпункт 2 пункта 2 статьи 22.
[3] Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности (подпункт 12 статьи 3 Закона 152-ФЗ).
[4] В соответствии с пунктом 1 Положения № 687 обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее (пункт 2 Положения № 687).
Ответы на самые интересные вопросы на нашем телеграм-канале knk_banki